Los protocolos de VPN WireGuard y OpenVPN son los dos más usados -con permiso del protocolo IPsec para grandes empresas– tanto en el ámbito doméstico o de «homelab», como también a nivel empresarial. Por la arquitectura que tienen ambos protocolos, y las diferentes opciones de configuración disponibles, debes saber que sus usos son bastante diferentes entre sí. Aunque con los dos podemos establecer túneles VPN seguros y con una velocidad muy rápida, WireGuard tiene unos puntos fuertes que podemos aprovechar en determinadas circunstancias, y OpenVPN tiene otros puntos fuertes que vale la pena tener en cuenta. Hoy en RedesZone os vamos a explicar los puntos fuertes y débiles de cada protocolo, y cuándo merece la pena usar uno u otro.
Las VPN son ampliamente utilizadas hoy en día para conectarnos a redes remotas, pero también para usar servicios de VPN y enmascarar nuestra identidad en Internet. El protocolo OpenVPN lleva décadas con nosotros, en RedesZone tenemos un completo tutorial sobre cómo configurar OpenVPN en un servidor. Hace unos años apareció un nuevo protocolo llamado WireGuard VPN que llegó para cambiarlo todo, permitiendo crear túneles VPN en segundos, y todo ello de forma sencilla.
WireGuard: Puntos fuertes y débiles
El protocolo WireGuard es uno de los más utilizados actualmente, sobre todo para usuarios que quieren conectarse a los recursos de su hogar desde Internet, y poder acceder a todos ellos de forma segura. Actualmente la gran mayoría de routers neutros como los de marca ASUS, FRITZ!Box, Keenetic o TP-Link lo incorporan de forma nativa. Además, la mayoría de los sistemas operativos de NAS como QTS o QuTS hero de QNAP lo incorporan, así como ASUSTOR entre otros muchos. No obstante, en el caso de que el sistema operativo no lo incluya por defecto, siempre vas a poder instalarlo en un contenedor Docker, y seguirá teniendo un gran rendimiento en cuanto a ancho de banda se refiere.
Los puntos fuertes de WireGuard, y que no tiene OpenVPN, son los siguientes:
- Simplicidad en la configuración: una configuración de este protocolo ocupa unas 10 líneas aproximadamente para el cliente, para el servidor ocupará como mínimo unas 12 líneas y luego se añadirán las claves públicas de los diferentes clientes dados de alta. En OpenVPN se requiere crear una Autoridad de Certificación (CA), el certificado del cliente (para el archivo de configuración del cliente) y del servidor (para el archivo de configuración del servidor), así como otros parámetros avanzados.
- Gran rendimiento (velocidad de descarga y subida): este protocolo ofrece una gran velocidad desde el principio, porque está integrado en el kernel Linux 5.6 sin necesidad de ningún ajuste avanzado. OpenVPN es capaz de igualar este rendimiento usando DCO, pero esta función no está disponible para todos, y solamente a partir del kernel Linux 6.16 es compatible, así que no está masivamente desplegado.
- Menos consumo de batería: este protocolo tiene un consumo de batería mínimo en «standby», esto significa que el túnel VPN permanece inactivo cuando no hay tráfico, así que supone un gasto mínimo. En OpenVPN el túnel está establecido continuamente, y se enviarán datos para indicar al servidor que todavía está conectado (keep-alive), si habilitamos la opción de ahorro de energía, el túnel VPN se desconectará, y en cuanto detecte tráfico volverá a conectarse, teniendo que esperar unos segundos hasta que reconecte. Además, si cambiamos de red tiene que renegociar la conexión.
- Roaming entre redes transparente: otro punto a favor es el roaming entre redes, ya sea Wi-Fi a banda ancha móvil o viceversa. Soporta el cambio de red sin corte en la conexión; no necesita renegociar todos los parámetros. OpenVPN sí necesita renegociar, aunque lleva a cabo una reconexión rápida.
Como podéis ver, WireGuard es superior en todos estos aspectos; sin embargo, donde realmente «falla» es justamente en los puntos fuertes de OpenVPN, ya que carece de ciertas opciones de configuración que son muy interesantes. Por ejemplo, no es capaz de atravesar firewalls al usar el protocolo UDP únicamente, se puede censurar más fácilmente si no se usa ofuscación del túnel, no permite autenticación en dos pasos ni tampoco es escalable sin software o scripts adicionales para editar el archivo único de configuración.
OpenVPN: Puntos fuertes y débiles
El protocolo OpenVPN siempre ha sido uno de nuestros favoritos, debido a la gran cantidad de opciones de configuración, ya que se puede ajustar perfectamente tanto el canal de control (usando TLS 1.3 o DTLS), como también el canal de datos (con AES-256-GCM, por ejemplo), además de permitir autenticaciones más robustas gracias a la combinación de claves criptográficas con usuario y contraseña, los cuales pueden estar en un servidor RADIUS para centralizar la autenticación. Hoy en día con OpenVPN DCO, la brecha en la diferencia de velocidad de ambos protocolos se ha reducido al mínimo, por lo que las funciones de configuración adicionales son donde verdaderamente está la diferencia.
Los puntos fuertes de OpenVPN y que no tiene WireGuard son los siguientes:
- Evadir firewalls: mientras que WireGuard usa siempre UDP y se puede bloquear fácilmente, OpenVPN es capaz de usar el protocolo TCP y el puerto 443, como si fuera una conexión HTTPS normal y corriente. Además, soporta Proxy por si acaso la red de origen requiere el acceso a Internet con autenticación adicional.
- Resistente a la censura: este protocolo se ha usado durante años para evadir la censura de los Gobiernos, por lo que hay software basado en OpenVPN como stunnel para justamente esto, además de usar modos de «sigilo» para pasar desapercibido.
- Autenticación: aquí es donde más diferencia encontramos con WireGuard, y es que la autenticación en OpenVPN se hace mediante certificados TLS contra una CA que podemos definir nosotros a la hora de crear la Infraestructura de Clave Pública (PKI). También podemos autenticarnos (de forma adicional) usando nombre de usuario y contraseña; estas credenciales pueden estar en un LDAP o un servidor RADIUS para dicha autenticación. Otro aspecto a valorar es que tenemos autenticación en dos pasos de forma opcional (MFA). WireGuard solamente tiene un par de claves estáticas y una clave precompartida opcional (como tls-crypt en OpenVPN), la gestión de usuarios de forma avanzada queda fuera de su alcance.
- Clientes a gran escala de forma automática: este protocolo permite proporcionar los datos de direccionamiento IP, rutas y DNS a través del servidor OpenVPN, y revocar los certificados TLS de forma fácil a través de una CRL (Lista de Revocación de Certificados) en la CA. WireGuard requiere configurar manualmente cada «peer» del túnel VPN.
- Criptografía post-cuántica: aunque WireGuard es un protocolo muy seguro, la criptografía es fija por diseño, no permite elegir los algoritmos de cifrado, autenticación etc, pero sí tiene una clave precompartida opcional que añade una capa de protección frente a ataques cuánticos. En OpenVPN tenemos TLS 1.3 con criptografía ML-KEM que viene activada por defecto en OpenVPN 2.7 si se usa OpenSSL 3.5.
- Túneles L2: mientras que WireGuard trabaja con túneles L3, OpenVPN permite túneles L2 (tap) y también L3 (tun). Esto permite realizar puentes Ethernet fácilmente, aunque en L2 no tendremos DCO por lo que el rendimiento será claramente inferior.
- Conmutación por error: OpenVPN permite varios servidores remotos a modo de respaldo que se van probando uno tras otro por si fallan, hasta que uno responde. WireGuard permite varios «peer» en el archivo de configuración, pero no tenemos una función nativa de conmutación por error entre servidores VPN.
Como podéis ver, a nivel de arquitectura OpenVPN es claramente superior, y por eso las empresas lo prefieren frente a las limitaciones de WireGuard.
